Una familia identifica el mecanismo que hay que examinar
Términos como “hack” o “fallo” no bastan para comprender una pérdida. Pueden agrupar acontecimientos muy distintos. Pregunte qué mecanismo quedó comprometido y cómo alcanzó la posición: la respuesta ayuda a localizar la familia de riesgo pertinente.
El catálogo utiliza siete familias: protocolo, custodia, pérdida de paridad, puente, penalización del validador, exchange y otros riesgos declarados. Cyber Risk describe una perspectiva sobre incidentes cibernéticos que pueden atravesar esas familias; no es una cobertura automática ni una octava categoría del catálogo.
La familia organiza la búsqueda. El contrato define el evento, los límites, la elegibilidad y las exclusiones de una cobertura concreta. Reconocer la categoría de un incidente es solo una parte de la lectura necesaria para evaluar una solicitud.
Localice de qué dependía la posición
Para cada posición, identifique quién o qué permite su guarda, su movimiento y su restitución. Una misma posición puede depender de más de un mecanismo, de modo que las familias no tienen que tratarse como riesgos aislados.
Examine el código para el riesgo de protocolo; quién controla los activos, para la custodia; el mecanismo que busca la referencia, para el depeg; la conexión entre redes, para el puente; las reglas del validador, para el slashing; y las condiciones de guarda y de retirada del exchange, para el riesgo de exchange. Los eventos específicos fuera de estos grupos exigen una descripción propia en el contrato.
Ese mapa también permite reconocer dependencias comunes. Activos o servicios distintos pueden utilizar el mismo custodio, el mismo contrato o la misma infraestructura. Un incidente en ese punto puede alcanzar varias posiciones; la cantidad de activos, por sí sola, no describe la concentración.
Relacione el mapa con las condiciones de la cobertura
Organice una lista con la posición, la red, el responsable de la guarda y los servicios utilizados. Añada las familias pertinentes y los controles existentes. El objetivo es saber de dónde puede proceder la pérdida y qué registros permitirían comprender un incidente.
Después, compare la exposición identificada con las coberturas publicadas. Considere los costes, los límites, los requisitos y las exclusiones junto con los controles de la operación. La contratación depende de la disponibilidad y no sustituye la gestión de las dependencias que siguen presentes.
